VPC 환경에서의 보안과 네이버클라우드플랫폼에서 제공하는 보안관제서비스인 security monitoring 서비스에 대해 소개합니다. | Introduce Naver Cloud Platform security services, world-class security technologies to protect your data and services from external threats.

1. NAVER CLOUD PLATFORM
클라우드 보안 A부터 Z까지:
Infrastructure Protection
네이버 클라우드 플랫폼 김동운 매니저

2. 1. Security On VPC
1.1 VPC Components
1.2 Network access control [NACL]
1.3 Network access control [ACG]
1.4 Flow Log
2. Security Monitoring
2.1 Naver Cloud Platform & On-premise Security
2.2 Security Architecture
2.3 Security Monitoring
3. Marketplace
목차

3. 1.
Security On VPC

4. IaaS/PaaS/SaaS
Infrastructure as a Service
(IaaS)
Platform as a Service
(PaaS)
Sofrware as a Service
(SaaS)
Infrastructure-as-a-service, or IaaS, is a step away from on-premises infrastructure. It’s a pay-
as-you-go service where a third party provides you with infrastructure services, like storage and
virtualization, as you need them, via a cloud, through the internet.
Platform-as-a-service (PaaS) is another step further from full, on-premise infrastructure
management. It is where a provider hosts the hardware and software on its own infrastructure
and delivers this platform to the user as an integrated solution, solution stack, or service
through an internet connection.
Software-as-a-service (SaaS), also known as cloud application services, is the most
comprehensive form of cloud computing services, delivering an entire application that is
managed by a provider, via a web browser.
• Virtual Machines
• Network
• Storage
• Containers
• Auto-Scaling & Clustering
• CI/CD Automation
• Container Orchestration
• App Deployment
• Marketplace
• Custom Packaging
• Built-In Billing

5. VPC Components
VPC
VPC는 퍼블릭 클라우드(Public Cloud) 상에 논리적으로 완전하게 분리된 고객 전용 네트워크를 제공하는
서비스입니다.
최대 /16 의 IP 네트워크 공간을 제공합니다. (IP 대역 : RFC 1918)
Subnet
할당된 VPC를 용도에 맞게 네트워크 공간을 세분화하여 사용할 수 있는 기능입니다.
Subnet은 /16 ~ /28의 네트워크 주소 할당이 가능합니다.
Internet Gateway 연결한 Subnet은 인터넷과 연결이 가능하며, 연결을 하지 않으면 인터넷 접속이 제한
된 네트워크로 활용이 가능합니다.
Network ACL
Subnet에서 Inbound/Outbound의 네트워크 접근 제어를 지원하며 Stateless 기반으로 동작합니다.
ACG
서버에서 Inbound/Outbound(Inbound/Outbound)의 네트워크 접근 제어를 지원하며 Stateful 기반으로
동작합니다.
WEB Subnet
NAVER Cloud Platform
Master Slaves
VPC
WAS Subnet
DB Subnet
NACL
NACL
NACL
ACG
ACG

6. Network access control [NACL]
WAS Subnet
VPC
10.0.253.0/24
DB Subnet
10.0.254.0/24
Network ACL을 이용하여 Subnet 간 통신 컨트롤
네트워크에 대한 비인가 접근을통제하기 위해 업무 목적 및 중요도에 따
라 네트워크 분리와 접근통제 적용을 권고 합니다.
Subnet을 통해서 서비스의 목적에 따라 네트워크를 분리하고, NACL 기
능을 이용하여 Subnet 간 접근통제를 적용할 수 있습니다.
또한 외부에서 발생하는 특정IP에서의 공격에 대해 NACL을 통해 차단 할
수 있습니다.
<WAS Subnet, DB Subnet 간 NACL을 이용한 접근통제> <Network ACL 적용 예시>

7. Network access control [ACG]
ACG를 이용한 서버 간 접근통제/이용자 접근통제
ACG를 이용하여 동일한 Subnet 에 존재하는 서버간 접근통제 및 이용자
접근통제를 적용할 수 있습니다.
NAVER Cloud Platform
WEB Subnet
VPC
10.0.252.4/32
서버 관리자(211.xx.xx. Xx/32)
<ACG를 이용한 접근통제>
10.0.252.5/32
<ACG 적용 예시>

8. Flow Log
Flow Log를 활용한 네트워크 접근 검토
FlowLog 활성화는 Network Interface 메뉴에서 FlowLog 설정 버튼을 통해 활성화 할 수 있으며, 클라우드 환경에 접근을 시도하는 네트워크 트래픽을 검사 할 수 있습니다.
Flow Log 수집 액션 “허용/거부/모두“ 중 선택하여 Object Storage에 저장할 수 있습니다.
1) 허용 : ACG에서 허용된 트랙픽만 수집합니다.
2) 거부 : ACG에서 거부된 트래픽만 수집합니다.
3) 모두 : 모든 트래픽을 수집합니다.
LOG_TIME DIRECTION REGION VPC_NM VPC_NO SBNET_NO INSTC_NO NIC_ID SRC_ADDR SRC_PORT DST_ADDR DST_PORT ACTION PROTOCOL TP_CD
1596433201 inbound 1 flowlog-cloudsec 592 871 1318810 11439 101.xxx.xxx.3 36550 172.xx.xx4.0 80 allow tcp SVR
1596433206 outbound 1 flowlog-cloudsec 592 871 1318810 11439 172.xx.xx.0 44900 169.xx.xx.9 9973 allow tcp SVR
1596433225 inbound 1 flowlog-cloudsec 592 871 1318810 11439 79.xx. xx.34 57695 172.xx.xx.0 54321 deny tcp SVR
1596433229 inbound 1 flowlog-cloudsec 592 871 1318810 11439 45.xx.xx.22 55588 172.xx.xx.0 3303 deny tcp SVR
1596433239 inbound 1 flowlog-cloudsec 592 871 1318810 11439 45. xx.xx.151 42968 172.xx.xx.0 21076 deny tcp SVR
1596433242 inbound 1 flowlog-cloudsec 592 871 1318810 11439 169.xx.xx.16 0 172.xx.xx.0 0 allow icmp SVR
1596433247 inbound 1 flowlog-cloudsec 592 871 1318810 11439 198.xx.xx.242 23053 172.xx.xx.0 993 deny tcp SVR

9. 2.
Security Monitoring

10. NAVER CLOUD PLATFORM & On-premise Security
구분 On-premises Security NAVER CLOUD PLATFORM Security Description
N/W
DDoS Security Monitoring  Security Monitoring DDoS 서비스를 통해 고객별 특화된 탐지 정책 적용을 제공.
방화벽 ACG(Access Control Group)  ACG Rule 변경 기능으로 서버에 접속을 허용할 트래픽 규칙을 안전하고 편리하게 관리.
IDS/IPS Security Monitoring  Security Monitoring IDS/IPS 서비스를 통해 고객별 특화된 탐지/차단 정책 적용을 제공.
전송구간 암호화 IPsec/SSL VPN, Cloud Connect  고객의 네트워크와 네이버 클라우드 플랫폼에 있는 네트워크에 대한 안전한 연결을 제공.
DB
DB접근통제 NAVER CLOUD PLATFORM Marketplace  마켓플레이스에서 제공하는 3rd-party Solution을 VM에 설치하여 사용.
DB암호화 NAVER CLOUD PLATFORM Marketplace  마켓플레이스에서 제공하는 3rd-party Solution을 VM에 설치하여 사용.
Server
서버접근통제
SSL VPN, NAVER CLOUD PLATFORM
Marketplace
 SSL VPN을 통해 서버 접근을 관리.
 마켓플레이스에서 제공하는 3rd-party Solution을 VM에 설치하여 사용.
서버보안(SecureOS) NAVER CLOUD PLATFORM Marketplace  마켓플레이스에서 제공하는 3rd-party Solution을 VM에 설치하여 사용.
Anti-Virus Security Monitoring  Security Monitoring DDoS 악성코드 의심 이벤트 발생 시 탐지 보고서 및 분석 정보 전달
Application
웹 방화벽 Security Monitoring  Security Monitoring WAF 서비스를 통해 고객별 특화된 탐지/차단 정책 적용을 제공.
Anti-Webshell NAVER CLOUD PLATFORM Marketplace  마켓플레이스에서 제공하는 3rd-party Solution을 VM에 설치하여 사용.
User Access 사용자 접근통제 Sub Account  Sub Account 서비스를 이용하여 콘솔 접근에 대한 사용자 접근을 관리할 수 있습니다.
Audit - Cloud Activity Tracer/Resource Manager  리소스(서버, 네트워크, DB등) 생성, 변경, 삭제에 대해 추적 기능을 제공.

11. Security Architecture [Example]

12. Security Monitoring
고도화된 보안 정책
• 최신 공격 기법을 정확히 탐지/모니터링할 수 있는 고도화된 보안 정책을 제공합니다. 필요한 경우 고객
서비스에 특화된 보안 정책을 제공해 고객의 서비스를 보다 안전하게 보호합니다.
보안 위협에 대한 가시성 제공
• 콘솔을 통해 다양한 보안 이벤트에 대한 대응(탐지/차단) 현황을 Dashboard 형태로 제공하며, 고객의 서
비스를 더욱 안전하게 보호할 수 있도록 탐지된 보안 위협에 대한 분석 리포트 및 대응 가이드를 제공합니다.
One-stop 서비스
• 사용 신청만 하면 클라우드 서비스 제공자의 보안 조직/인력이 고객의 인프라 구성과 서비스를 신속히 분
석하여 구축, 운영 및 관제 서비스까지 최적화된 보안 서비스를 제공합니다.
보안 전문가(네이버 CERT)
• 고객이 별도 보안관제팀을 구성하지 않아도, 최고 수준의 전문 보안 인력이 다양한 공격 이벤트를 24*365
실시간으로 모니터링하고 고객에게 통보함으로써 최적의 보안관제 서비스를 제공받을 수 있습니다.
Customer Resource
IDS DDoS WAF IPS Vaccine
Security Monitoring
Managed Service
NAVER CLOUD PLATFORM
Protection

13. Security Monitoring - Dashboard, Report
[ Console Dashboard 화면 ] [ 보고서 등록 알림 메일 ] [ 주간/월간 보고서 ]

14. Security Monitoring Process

15. 3.
Marketplace

16. Marketplace [Security]

17. The End of Document
Thank you